Naar de hoofdinhoud

Je accountinstellingen

Je persoonlijke instellingen vind je onder je avatar → Instellingen (frem.sh/user/settings). Dit is jouw account, los van de beheeromgeving van welke organisatie dan ook: de instellingen gaan met je mee naar elke organisatie waarvan je lid bent. Deze pagina behandelt wat je zelf beheert: sleutels, tokens en meldingen.

SSH-sleutels

Staat je organisatie SSH toe (bij nieuwe organisaties staat het standaard uit; zie Als SSH niet is toegestaan hieronder), dan registreer je hier je publieke sleutels.

Een sleutel toevoegen: open Instellingen → SSH / GPG sleutels, plak je publieke sleutel (de inhoud van ~/.ssh/id_ed25519.pub), geef hem een herkenbare naam en sla op. fremforge toont de vingerafdruk van de sleutel en de datum waarop hij voor het laatst is gebruikt om te authenticeren, zodat je een sleutel opmerkt die je niet meer herkent.

Een sleutel intrekken: verwijder hem op dezelfde pagina. Intrekken werkt direct: de volgende Git-bewerking met die sleutel wordt geweigerd. Trek een sleutel op een kwijtgeraakt of uitgefaseerd apparaat meteen in.

Gebruik bij voorkeur sleutels die door hardware worden beschermd (sk-*-algoritmen: Touch ID, FIDO/YubiKey). Sommige organisaties eisen die, en dan wordt een sleutel zonder hardware bij het registreren geweigerd. Zie Veilig inloggen voor de volledige uitleg over het aanmaken van sleutels.

GPG-sleutels

Registreer hier een publieke GPG-sleutel om je ondertekende commits en tags in de interface als Geverifieerd te laten tonen.

Een sleutel toevoegen: open Instellingen → SSH / GPG sleutels, plak je ASCII-armored publieke sleutel (gpg --armor --export <key-id>) en sla op. fremforge controleert of het e-mailadres van de sleutel overeenkomt met een geverifieerd e-mailadres op je account voordat commits als geverifieerd worden gemarkeerd.

Een sleutel intrekken: verwijder hem op dezelfde pagina. Bestaande commits die ermee zijn ondertekend, houden hun historische handtekening; nieuwe commits die met de verwijderde sleutel zijn ondertekend, worden niet meer als geverifieerd getoond.

Wil je liever helemaal geen langlevende ondertekeningssleutels beheren, dan ondersteunt fremforge sleutelloos ondertekenen van commits op basis van je identiteit via je IdP: geen sleutel om aan te maken, op te slaan of te roteren. Zie Sleutelloos commits ondertekenen.

Persoonlijke toegangstokens (PAT’s)

Een persoonlijk toegangstoken authenticeert Git-bewerkingen en API-aanroepen als jou, zonder interactief inloggen in de browser. Handig voor scripts, lokale tools en elke client die de browserstroom van GCM niet kan doorlopen.

Een token aanmaken: open Instellingen → Git-toegangstokens → Nieuwe PAT aanmaken, geef het een beschrijvende naam, kies de scopes (geef alleen wat de toepassing nodig heeft), stel een vervaldatum in en klik op PAT aanmaken. De waarde van het token wordt één keer getoond: kopieer het meteen, je kunt het later niet meer opvragen.

Gebruik een PAT als wachtwoord voor Git-bewerkingen over HTTPS, of als bearer-token voor de REST API:

# Git over HTTPS
git clone https://frem.sh/<org>/<repo>.git
# username: your fremforge username; password: the PAT

# REST API
curl -H "Authorization: token <PAT>" https://frem.sh/_app/api/v1/user

Een token intrekken: klik op dezelfde pagina op Intrekken ernaast. Intrekken werkt direct. Trek elk token in dat mogelijk is uitgelekt, en kies bij voorkeur korte geldigheidsduren, zodat een vergeten token vanzelf verloopt. Je organisatie kan een maximale levensduur voor tokens instellen; wordt je gekozen vervaldatum geweigerd, dan is dat de reden.

Voor dagelijks Git-gebruik door mensen is interactief HTTPS + Git Credential Manager (met MFA bij elke vernieuwing) de aanbevolen weg, eerder dan een langlevende PAT. Zie Veilig inloggen.

Meldingsvoorkeuren

Open Instellingen → Account om te bepalen hoe fremforge je bereikt. De voorkeur voor e-mailmeldingen onder E-mailadressen beheren (opgeslagen met E-mailvoorkeur instellen) bepaalt of je e-mail ontvangt over gebeurtenissen waarop je bent geabonneerd (issues en PR’s waaraan je bent toegewezen, vermeldingen, reviews die aan jou zijn gevraagd en repository’s die je volgt). Zet hem uit als je alleen op het meldingenoverzicht in de app wilt vertrouwen, of laat hem aan om ook e-mail te krijgen. De volginstellingen per repository (de knop Volgen op elke repository) bepalen welke repository’s überhaupt meldingen opleveren.

Als SSH niet is toegestaan

Nieuwe organisaties starten met inloggen via SSH uitgeschakeld: HTTPS is de standaardweg voor Git. Heeft elke organisatie waarvan je lid bent SSH uitgeschakeld, dan meldt het onderdeel SSH-sleutels in je instellingen dat: je ziet de melding “SSH- en GPG-sleutels zijn niet toegestaan” in plaats van het formulier om een sleutel toe te voegen, omdat een sleutel op dit moment nergens bruikbaar zou zijn.

Probeer je het toch, dan wordt een clone, fetch of push via SSH op de repository’s van die organisatie geweigerd met een melding die de organisatie-instelling noemt en de HTTPS-URL geeft om in plaats daarvan te clonen.

Wat je kunt doen:

  • Gebruik HTTPS. Clone en push via https://frem.sh/<org>/<repo>.git met Git Credential Manager. Dat is sowieso de aanbevolen weg, en MFA wordt bij elke tokenvernieuwing gevraagd. Zie Veilig inloggen voor de inrichting.
  • Voor niet-interactieve clients maak je een persoonlijk toegangstoken aan en gebruik je dat als HTTPS-wachtwoord.
  • Heb je echt SSH nodig, vraag dan een eigenaar van de organisatie om het SSH-protocol voor de organisatie weer aan te zetten (Organisatiebeheer → Authenticatiebeleid). Zodra een organisatie waarvan je lid bent SSH toestaat, verschijnt het formulier om een sleutel toe te voegen hier weer.

Zie ook

  • Veilig inloggen: inrichting van HTTPS + GCM, SSH als keuzeoptie en sleutels met hardwarebescherming
  • Sleutelloos commits ondertekenen: ondertekenen op basis van identiteit, zonder sleutel om te beheren
  • API: een PAT als bearer-token gebruiken tegen de REST API